AI & Copilot · Governance
Als AI Governance Partner für Microsoft Copilot und Foundry bringen wir Ihre AI-Use-Cases in einen belastbaren Governance-Rahmen — ohne Ihren Tagesbetrieb zu lähmen. Der EU AI Act ist keine Drohkulisse mehr: Schulungspflicht nach Artikel 4 seit Februar 2025, vollständiger Bußgeldrahmen bis zu 35 Mio. € oder 7 % des Jahresumsatzes seit August 2026 wirksam.
Was die EU verlangt
Die EU-Verordnung 2024/1689 — bekannt als EU AI Act — ordnet jeden Einsatz künstlicher Intelligenz in eine von vier Risikoklassen ein. Daraus leiten sich konkrete Pflichten ab. Wir helfen, jeden Ihrer AI-Use-Cases korrekt einzuordnen.
Bestimmte Praktiken sind unzulässig — etwa Social-Scoring durch Behörden, manipulative Systeme, ungezielte biometrische Massenerfassung. Wer solche Systeme einsetzt, riskiert die höchsten Bußgelder. Solche Use Cases nehmen wir gar nicht erst an.
HR-Vorauswahl, Bonitätsprüfung, biometrische Identifikation, kritische Infrastruktur, Bildungs-Bewertung. Strenge Anforderungen: Konformitätsbewertung, Risiko-Management, technische Dokumentation, kontinuierliche Überwachung. Hier braucht es spezialisierte juristische Begleitung — wir vermitteln aus unserem Partner-Netzwerk.
Chatbots, Deep-Fakes, Emotionserkennung, generative KI mit Außenwirkung. Pflicht: Transparenz gegenüber Nutzern. Hierhin fällt typischerweise ein Großteil der Copilot-Studio-Agenten. Die Pflicht ist erfüllbar — aber sie muss gelebt und dokumentiert werden.
Spam-Filter, Empfehlungs-Algorithmen mit geringer Auswirkung, einfache Klassifikatoren. Hier gelten keine spezifischen Pflichten aus dem AI Act — aber die allgemeinen Pflichten (DSGVO, Schulung Art. 4) greifen weiterhin.
Die EU-AI-Act-Phasen
Verbot unzulässiger AI-Praktiken (Social Scoring, manipulative AI, untargeted Scraping von Gesichtsbildern, Emotionserkennung in Arbeit/Schule, Risiko-Profiling für Strafverfolgung ohne enge Ausnahmen). Pflicht zu AI Literacy: alle Mitarbeitenden, die AI-Systeme bedienen oder deren Ergebnisse verwenden, müssen geschult sein. Das betrifft auch Microsoft 365 Copilot Nutzer im breiten Sinne.
Pflichten für General-Purpose-AI-Modelle (GPAI): Technische Dokumentation, Copyright-Konformität, Transparenz-Bericht. Diese Pflicht betrifft Microsoft als Provider der zugrundeliegenden Modelle — aber nicht direkt deren Kunden, mit einer Ausnahme: Wer ein GPAI-Modell substantiell anpasst (Fine-Tuning, eigene Datenbasis bei großem Volumen), kann zum Provider werden und übernimmt entsprechende Pflichten. Plus: AI Office bei der EU-Kommission ist operativ und kann erste Marktüberwachungs-Maßnahmen treffen.
Hochrisiko-AI-Pflichten werden vollständig wirksam: Risikomanagement-System, Daten-Governance, technische Dokumentation, Aufzeichnungs-Pflicht (Logs), Transparenz gegenüber Deployers, Human Oversight, Genauigkeits- und Cybersicherheits-Anforderungen, Konformitätsbewertung vor Marktbringen. Plus Transparenz-Pflichten für AI-generierte Inhalte (Watermarking, Kennzeichnung von Chatbots, Deepfakes). Wer Hochrisiko-AI selbst baut oder einsetzt, hat damit umfangreiche Aufgaben. Wer „nur“ Microsoft Copilot Standard nutzt, hat überwiegend Deployer-Pflichten (siehe Februar 2025).
Erweiterte Anforderungen für eingebettete AI in regulierten Produkten (Medizinprodukte, Spielzeug, Maschinen, Aufzüge, Druckgeräte etc.) — relevant für Mittelständler, deren Produkte bereits CE-Konformitätsbewertungen brauchen. Hier wird AI Teil der Produkt-Konformitätsbewertung.
Die vier Risiko-Kategorien
Der EU AI Act unterscheidet vier Risiko-Stufen. Welche Stufe Ihr AI-System einnimmt, entscheidet über Pflichten, Aufwand und Bußgeld-Exposition.
Grundsätzlich verbotene AI-Systeme: Social Scoring durch Behörden, manipulative AI gegen Vulnerable Groups, untargeted Scraping von Gesichtern, Emotionserkennung in Arbeit oder Schule, biometrische Kategorisierung nach geschützten Merkmalen, biometrische Echtzeit-Identifizierung im öffentlichen Raum durch Strafverfolgung (mit engen Ausnahmen). Bußgeld bis 35 Mio. € oder 7 % des weltweiten Jahresumsatzes.
AI in regulierten Produkten oder Bereichen aus Anhang III: kritische Infrastruktur, Bildung und Berufsausbildung, Beschäftigung und Personalmanagement (z.B. AI-Bewerber-Screening), Zugang zu öffentlichen Dienstleistungen, Strafverfolgung, Asyl- und Migrations-Management, Justiz, demokratische Prozesse. Plus eingebettete AI in regulierten Produkten (Medizin, Maschinen, Spielzeug). Umfangreiche Pflichten zu Dokumentation, Konformitätsbewertung, Human Oversight, Risikomanagement-System, Logs, Transparenz.
AI-Systeme mit Transparenz-Pflichten: Chatbots müssen sich als AI zu erkennen geben (Microsoft Copilot Studio Agents fallen typisch hier hinein), Deepfakes müssen gekennzeichnet sein, AI-generierte Inhalte brauchen Wasserzeichen (synthetische Audio, Video, Text in bestimmten Kontexten), Emotionserkennung außerhalb von Arbeit/Schule muss offengelegt werden. Pflichten sind moderat, aber konkret umzusetzen.
AI-Systeme ohne spezifische Pflichten: Spam-Filter, Empfehlungssysteme im E-Commerce, AI in Videospielen, Übersetzungs-Tools, Schreib-Assistenten. Die Mehrheit der Microsoft-365-Copilot-Standard-Use-Cases fällt typisch hier hinein — aber Vorsicht: Sobald Copilot in HR-Prozessen, Kundenbeziehung-Kritischen Entscheidungen oder regulatorisch sensiblen Bereichen genutzt wird, kann die Klassifizierung höher ausfallen.
Unser AI Governance Programm
Wir nehmen den AI Act nicht als Bremse, sondern als Strukturhilfe. Vier Bausteine, die wir in 8 bis 12 Wochen mit Ihnen aufbauen — pragmatisch, ohne Bürokratie-Overkill.
Wir kartieren alle AI-Use-Cases, die heute in Ihrem Unternehmen laufen — sichtbar wie unsichtbar. Microsoft Copilot, Custom-Agenten, ChatGPT-Browser-Plugin der Marketing-Teams, Bewerbungs-Filter im Recruiting. Schatten-AI ist real und muss zuerst sichtbar werden.
Schulungspflicht nach Art. 4 EU AI Act. Wir bauen ein rollenbasiertes Konzept: Geschäftsleitung anders als Vertrieb anders als IT anders als Datenschutz. Mit dokumentierten Schulungs-Nachweisen, die einer Aufsichtsbehörde standhalten — nicht nur einem Klick-Häkchen.
Jeder identifizierte Use Case wird klassifiziert: verboten, hochriskant, eingeschränkt-risikobehaftet, minimal. Pro Klasse leiten wir konkrete Pflichten ab. Aus der Klassifizierung folgen die Maßnahmen — vom Transparenz-Hinweis im Chatbot bis zur Konformitätsbewertung beim Hochrisiko-Use-Case.
Wir bauen ein Audit-Trail, das auf Microsoft Purview und Microsoft Entra ID aufsetzt. Wer hat wann welchen Agent genutzt, mit welcher Frage, welcher Antwort, welcher Datenquelle. Das ist nicht nur EU-AI-Act-Pflicht — es ist auch im Schadensfall die einzige Möglichkeit, eine Halluzination nachträglich aufzuklären.
Häufige Fragen
Die EU-Verordnung 2024/1689 unterscheidet vier Risikoklassen: verbotene Praktiken (Art. 5), hochriskante Systeme (Anhang III), eingeschränkt-risikobehaftete Systeme mit Transparenzpflicht und minimales Risiko. Seit Februar 2025 gilt die KI-Schulungspflicht nach Art. 4 für alle Unternehmen, die KI-Systeme nutzen oder bereitstellen. Ab August 2026 greift der vollständige Bußgeld-Rahmen für hochriskante Systeme.
Ja. Die Schulungspflicht aus Art. 4 EU AI Act gilt für jede Organisation, die KI-Systeme nutzt — unabhängig davon, ob sie sie selbst entwickelt oder als Service einkauft. Wer Microsoft 365 Copilot, ChatGPT Enterprise oder Custom-Agenten einsetzt, muss seine Mitarbeitenden nachweislich schulen. Die Tiefe richtet sich nach Rolle und Risikoklasse des Systems.
Der EU AI Act sieht Bußgelder von bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes vor — abhängig vom Verstoß und vom Unternehmenstyp. Verstöße gegen die Bestimmungen zu hochriskanten Systemen ziehen den höchsten Rahmen. Verstöße gegen Transparenz- oder Schulungspflichten liegen niedriger, sind aber ebenfalls signifikant.
Anhang III des EU AI Act listet die Hochrisiko-Bereiche auf — darunter HR-Vorauswahl, Bonitätsprüfung, biometrische Identifikation, kritische Infrastruktur und Bildungs-Bewertung. Wer einen Copilot-Studio-Agenten in einem dieser Bereiche einsetzt, muss strenge Compliance-Anforderungen erfüllen.
Für mittelständische Unternehmen kalkulieren wir einen Festpreis-Rahmen — abhängig von Anzahl AI-Use-Cases, Größe der Organisation und Tiefe der Schulungs-Konzeption. Größere Organisationen mit eigenen Modell-Entwicklungen kalkulieren wir individuell.
Ein typischer Programm-Lauf dauert 8 bis 12 Wochen — Risiko-Inventur in den ersten zwei Wochen, Klassifizierung und Schulungs-Konzept-Entwicklung parallel, dann Roll-out der Schulungen und Aufbau des Audit-Trails. Das Ergebnis ist ein dokumentiertes AI-Governance-Framework, das jährlich überprüft wird.
Nein — und das sagen wir explizit. Wir sind Microsoft-Consultants mit fundierter Kenntnis des EU AI Act und seiner technischen Umsetzung. Für formaljuristische Bewertungen, Konformitätsbewertungen mit Notified-Body-Begleitung und vor-Ort-Audits empfehlen wir spezialisierte Kanzleien — wir arbeiten mit drei festen Partnern in DACH zusammen.
30 Min · vertraulich · ohne Verpflichtung
Wir hören uns Ihre Lage an, machen eine erste Risiko-Einschätzung Ihrer aktiven AI-Use-Cases und sagen Ihnen ehrlich, wo der größte Handlungsbedarf liegt — bevor die Aufsichtsbehörde fragt.
Begleitende Dienstleistungen
Engineering-Projekte stehen selten allein — Lizenz-Logik, Architektur-Klärung, Quality-Gates, Wissens-Transfer und Folge-Betrieb laufen meistens parallel. Hier die häufigsten Begleitleistungen, die wir in Discovery-Spike, Sprint-Festpreis oder Application-Care-Verträgen zubuchen.
Vorab · Architektur
Bevor implementiert wird: Tenant-Struktur, Datenmodell, Sicherheitskonzept, Integration-Mapping. Ergebnis ist ein Architektur-Dokument, mit dem jedes Engineering-Team weiterarbeiten kann — auch ein anderes als wir.
Ansehen →
Vorab · CSP
Welche Lizenz-Bundles für welche User, welche Add-on-SKUs notwendig sind, wo Sie über- oder unterlizenziert sind. Als Microsoft Lizenzierungspartner bezogen — mit der Option, CSP nur als Kontrolle ohne Margenmaximierung zu nutzen.
Ansehen →
Während · Quality-Gate
Unabhängige Zweit-Meinung während eines laufenden Implementations-Projekts — egal ob wir es selbst durchführen oder ein anderer Partner. CMMI-basierte Quality-Gates, Risk-Reviews, Festpreis pro Gate.
Ansehen →
Während · Adoption
Nicht der klassische 2-Tage-Workshop, der nach einer Woche vergessen ist — sondern ein dynamisches Lernprogramm über 4–6 Wochen mit Erstschulung, Anwendungsphasen und Aufbau-Sessions. Schulungs-Matrix für Rollen und Themen.
Ansehen →
Danach · Betrieb
Nach Go-Live: planbarer Application-Care-Vertrag mit Monatspauschale, SLA-basiert. Inklusive Releases, Hotfixes, Erweiterungen, Tenant-Hardening — und kontinuierlicher Begleitung statt nur Reaktion auf Ticket.
Ansehen →
Danach · Wissen
Wenn die ursprünglichen Entwickler weg sind, der Vorgänger-Partner nicht mehr greifbar oder die Dokumentation veraltet — Reverse Engineering der bestehenden Lösung mit dokumentiertem Ergebnis: Code-Map, Datenmodell, Customization-Inventar.
Ansehen →
